Кліенцкія VLAN або пазначаны trunk: выберыце правільны рэжым OpenVPN

Два запыты прыходзяць амаль з аднолькавай фармулёўкай: змясціць кожнага кліента VPN у выбраны VLAN або правесці існуючы trunk VLAN праз VPN. Гэта розныя прадукты. Убудаваны рэжым OpenVPN з улікам VLAN — гэта мадэль камутатара для першага запыту, і ён не з'яўляецца сінонімам празрыстай перадачы тэгаў. Няправільны выбар дае праект, які выглядае наладжаным і моўчкі адкідае кадры, якія вас цікавяць.

Што насамрэч будуе рэжым з улікам VLAN

Калі vlan-tagging уключаны ў разгортванні TAP толькі для сервера, дэман прадстаўляе сваю прыладу TAP і кожнага падключанага кліента як парты ўнутранага камутатара. Кліенцкія парты не пазначаныя, а іх прывязка да VLAN устанаўліваецца на серверы праз кантэкст vlan-pvid для кожнага кліента, а не праз тое, што дасылае кліент. У гэтым і сэнс мадэлі: членства — гэта рашэнне на баку сервера адносна аўтэнтыфікаванага партнёра. Нішто ў профілі кліента не павінна ведаць, да якога VLAN ён належыць.

Бок TAP сервера атрымлівае ўласную палітыку прыёму пазначаных або непазначаных кадраў праз vlan-accept. Перадача ўнутры гэтага камутатара адбываецца толькі паміж адпаведнымі VID, у тым ліку калі ўключаны client-to-client, таму два кліенты ў розных VLAN не могуць дасягнуць адзін аднаго праз сервер, нават калі абодва да яго падключаныя.

Гэта мадэль порта доступу. Кадры, якія выходзяць ад кліента, не пазначаныя, а прывязку накладае сервер на падставе ідэнтычнасці. Прасіць наўтбук пазначаць уласны трафік — гэта прасіць іншы праект.

Прызначэнні павінны ісці за аўтэнтыфікаванай ідэнтычнасцю кліента, а не за значэннем, якое кліент паведамляе пра сябе. Адсутнае прызначэнне таксама не з'яўляецца станам каранціну: кліент трапляе на PVID па змаўчанні, таму адсутны запіс ccd — гэта маўклівае палітычнае рашэнне, а не нейтральнае.

Што замест гэтага патрабуе празрысты trunk

Перадача ўжо пазначаных кадраў ад краю да краю пачынаецца з выключэння апрацоўкі з улікам VLAN. Мадэль камутатара і захаванне тэгаў — гэта альтэрнатывы, і ўключэнне абодвух патрабуе, каб адна функцыя рабіла працу другой.

Выключэнне — гэта толькі пачатак. Мост на кожным канцы і фізічныя парты камутатара павінны дамовіцца, якія VLAN дазволеныя, які тэг з'яўляецца натыўным і як апрацоўваюцца непазначаныя кадры. Падаўжэнне неабмежаванага trunk адкрывае значна больш шырокавяшчальных даменаў, чым два, якія вы хацелі злучыць.

Памер кадра патрабуе ўласнага бюджэту. Пазначаны кадр Ethernet плюс інкапсуляцыя большы за лічбу карыснай нагрузкі, якую людзі капіруюць з кіраўніцтва, і MTU, які быў добры для маршрутызаванага тунеля, не з'яўляецца доказам, што шлях trunk працуе.

Тры ўмовы, якія вызначаюць адказ

Па-першае, ці падтрымлівае кліенцкая платформа TAP наогул? Android і iOS не падтрымліваюць, а падтрымка macOS абмежаваная, таму парк мабільных карыстальнікаў выключае любы праект на TAP, незалежна ад таго, як размешчаны VLAN. Маршрутызаваная сесія TUN перадае IP-пакеты, а не кадры Ethernet, і ніякая колькасць налад VLAN на баку сервера гэтага не зменіць. Праверце парк перад праектаваннем тапалогіі, бо гэта ўмова, якую немагчыма абысці. Гэта таксама ўмова, якую часцей за ўсё выяўляюць пасля завяршэння работ з камутатарам.

Па-другое, хто прызначае VLAN? Калі адказ — «сервер, на падставе таго, хто аўтэнтыфікаваўся», падыходзіць мадэль камутатара. Калі адказ — «існуючая інфраструктура камутатараў, з тэгамі, якія ўжо існуюць», вам патрэбны праект trunk.

Па-трэцяе, якая частка сеткі павінна быць дасяжная? Мадэль камутатара па сваёй будове трымае кожнага кліента ў адным VLAN. Праект trunk — гэта мост, а няправільна наладжаны мост злучае шырокавяшчальныя дамены, якія павінны былі заставацца асобнымі.

Праверка зробленага выбару

Падключыце аднаго кліента, які павінен быць у дазволеным VLAN, і аднаго, які не павінен, затым праверце з рэальнага канца, а не з самога сервера. Дасяжнасць на баку сервера даказвае, што мост або камутатар існуе; яна не даказвае, у які VLAN трапіў кліент.

ip -d link show tap0
bridge vlan show

На серверы другая каманда паказвае членства VLAN для кожнага порта моста, уключаючы тое, ці пазначаны порт. Параўнайце гэта з прызначэннем, якое вы мелі на ўвазе, перш чым адладжваць што-небудзь вышэй за другі ўзровень.

Запішыце, які з двух праектаў выкарыстоўвае разгортванне. Нататка «з улікам VLAN» неадназначная, і наступны інжынер будзе меркаваць той варыянт, які вывучыў першым. Даведка OpenVPN па VLANапісвае паводзіны камутатара і кантэкст для кожнага кліента, і гэта найкарацейшы шлях да пацверджання таго, якую мадэль вы запускаеце.